漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0115681
漏洞标题：一则新闻引发的血案某跑路P2P网贷我该如何相信你
相关厂商：cnmeidai.com
漏洞作者： 纳米翡翠
提交时间：2015-05-23 14:17
修复时间：2015-07-07 14:18
公开时间：2015-07-07 14:18
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-23： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-07-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
P2P美贷网涉嫌自融、非法吸收公众存款近2亿元，美贷网涉案金额8000多万，中融资本5000多万，信达财富3000多万，共计1.8个亿。这还不包括谷卓恒控制的当时仍在运行的航美基金的待收本息。
还我血汗钱
详细说明：
美贷坑用户的新闻一直没有断，直接昨天凤凰财经还在提醒用户，不要上当，不要上当
可是这样的一个网站，到现在竟然还开着，而且还能融资，还能投资，这样一个坑人的网站，为什么到现在还没有人把它取缔？难道需要白帽子出手吗？可是如果我把它取缔了，我和黑客有什么两样？
政府难道不能管管吗？
漏洞证明：
1.github找到cnmeidai的uckey
2.通过uckey，修改了配置文件，拿到一句话shell
uckey拿shell可看这里： WooYun: 某分站泄漏数据库信息和uc_key等信息，可getshell
3.拿到服务器权限
主站和bbs都在同一个服务器
修复方案：
好想直接把网站给删了
版权声明：转载请注明来源 纳米翡翠@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：15 (WooYun评价)